📚 课程目录第4章主从切换触发条件

4. 主从切换触发条件：手动切换 vs 自动切换、故障检测阈值、心跳超时与脑裂预防

主从切换的触发条件是整个高可用体系的第一道防线。触发方式分为手动切换与自动切换两类，其背后依赖故障检测阈值、心跳超时机制以及脑裂预防策略的协同工作。本章将逐一拆解这些核心参数的设计逻辑与调优方法。

4.1 手动切换 vs 自动切换

两种切换方式适用于不同的运维场景，其触发源、决策路径和风险特征存在显著差异。下表从多个维度进行对比：

对比维度	手动切换	自动切换
触发源	运维人员通过管理平台或命令行执行	监控系统或集群仲裁组件自动检测
决策依据	人工判断业务窗口、负载状态、数据一致性	预定义的故障检测阈值 + 心跳超时 + 仲裁规则
典型场景	计划内维护、硬件升级、内核补丁、参数调优验证	主节点宕机、网络分区、磁盘故障、内核崩溃
切换耗时	可控，通常 30s–5min（含人工确认）	秒级到分钟级（取决于检测周期 + 超时配置）
风险等级	低（可回滚、可暂停）	中高（可能触发脑裂、数据丢失）
推荐使用率	占全部切换事件的 70%–80%	占 20%–30%，仅用于不可用故障

最佳实践：生产环境应坚持“手动优先、自动兜底”原则。所有计划内变更必须走手动切换流程，自动切换仅作为最后一道防线，且必须配合严格的脑裂预防机制。

4.2 故障检测阈值

故障检测阈值决定了系统从“怀疑故障”到“确认故障”的敏感度。阈值设置过小会导致误切（抖动），设置过大会延长故障恢复时间。核心参数包括：

检测周期（check_interval）：健康检查的轮询间隔，默认 1s–5s。
失败计数阈值（failure_count）：连续失败次数达到该值后触发切换，默认 3–5 次。
总超时窗口（total_timeout）：检测周期 × 失败计数阈值，即从首次失败到切换的总等待时间。

以下为常见数据库中间件的默认阈值对比：

组件	检测周期	失败计数阈值	总超时窗口	适用场景
MySQL MHA	1s	3	3s	低延迟内网
Redis Sentinel	1s	5	5s	内存型高频检测
MongoDB Replica Set	2s	10	20s	避免网络抖动误切
PostgreSQL Patroni	3s	3	9s	分布式一致性优先

调优警告：总超时窗口不宜低于 2s（易误切），也不宜高于 30s（故障恢复过慢）。建议根据业务容忍的 RTO 目标反推：RTO ≤ 10s 时，总超时窗口应控制在 5s–8s。

4.3 心跳超时与脑裂预防

心跳超时是主从节点之间维持“存活信号”的关键参数。当心跳丢失超过设定时间，系统会进入故障判定流程。但若网络出现分区（即节点间通信中断但各自仍在运行），就可能引发脑裂——两个节点同时认为自己是主节点，导致数据写入冲突。

脑裂预防的核心策略包括：

仲裁机制（Quorum）：要求多数派节点（超过半数）参与决策，避免单节点自升为主。
隔离 fencing：在切换前强制关闭旧主节点的写能力（如 STONITH、kill 进程、关闭网卡）。
心跳冗余：使用双心跳链路（如主备网卡 + 串口心跳），降低误判概率。
超时阶梯：设置多级超时（软超时 → 硬超时 → 强制切换），给网络抖动留出缓冲。

以下 SVG 图展示了从心跳丢失到脑裂预防的完整决策流程：

4.4 参数配置示例

以下为 Patroni + etcd 集群的典型脑裂预防配置片段：

# patroni.yml 关键参数
loop_wait: 3                    # 检测周期（秒）
ttl: 30                         # 心跳超时（秒）
retry_timeout: 10               # 重试超时（秒）
maximum_lag_on_failover: 1048576 # 最大复制延迟（字节）

# 脑裂预防
fencing:
  method: stonith
  stonith_command: "ssh root@{host} 'reboot --force'"

# 仲裁
etcd:
  host: 192.168.1.10:2379
  protocol: http
  cacert: /etc/ssl/etcd/ca.pem
  srv: false

  参数调优要点：
  ttl 值应 ≥ 3 × loop_wait，避免网络抖动导致误切。
maximum_lag_on_failover 根据业务容忍的数据丢失量设定，0 表示不允许任何延迟。
仲裁节点数建议为奇数（3、5、7），避免平票僵局。

4.5 脑裂预防架构总览

下图从系统架构层面展示心跳、仲裁、隔离三者的协作关系：

4.6 常见问题与避坑指南

避坑案例：某金融客户将心跳超时设为 2s，检测周期 1s，失败计数 2。因一次网络抖动（持续 3s），触发自动切换，导致 5000 笔在途交易回滚。事后将超时调整为 6s（检测周期 2s × 失败计数 3），误切率下降 90%。

不要将心跳超时设得比网络延迟还低：先测量实际网络延迟（ping 99 分位值），超时至少设为该值的 3 倍。
仲裁节点数必须为奇数：偶数节点在分区时可能平票，导致无法决策。
隔离 fencing 必须幂等：重复执行隔离命令不应造成额外破坏（如多次 reboot 无副作用）。
手动切换也要走仲裁：即使人工发起切换，也应先检查仲裁状态，避免在分区期间强行切换。